Forwarderの種別は何でしょうか？Heavy Forwarderではないでしょうか？ HFの場合には、transforms.confによるルーティング処理(Parsing)はHFで設定する必要があります。 Splunk Wiki: Where do I configure my Splunk settings? ... View more

Splunk DMS(6.4 and lower) or Monitoring Console(6.5) report the number of physical CPU cores, not virtual CPU cores. Your AWS "C4.2xlarge" may have 8 virtual CPU cores, not 8 physical CPU cores. Splunk may recognize your all cores. There is nothing to worry about. I'd like to share my findings. AWS "C4.2 xlarge" uses hyper-threading enabled CPU, AWS says in this https://aws.amazon.com/jp/ec2/instance-types/. Please try to find "ハイパースレッド" word in that URL. You may find "各 vCPU は、M4、M3、C4、C3、R3、HS1、G2、I2、D2 の Intel Xeon コアのハイパースレッドです。". It means that your "C4.2xlarge" has 8 virtual Cores, not 8 physical Cores. And, could you try to search the following on your Splunk. index=_internal cores You may find the following Splunk internal events, which explain the number of virtual and physical cores your Splunk recognizes. 12-14-2016 19:54:32.770 + 0900 INFO loader – Detected 4 (virtural) CPUs, 2 CPU cores, and 4022MB RAM ### This event is my Splunk internal log. My Splunk Monitoring Console says 2 CPU cores, not 4 cores. I hope this information may help you. By the way, Splunk Ver 4.2.2 is old and doesn't have DMC. I think you may use later version of Splunk. Thank you. ... View more

limits.confを編集していない、私のテスト環境では、stats count byで、1万行以上の検索結果が出力され、次の処理もできます。 実行例： index=_internal | head 200000 | stats count by _raw | stats count result： count = 199927 なお、1万行以上のデータが扱えないと聞くと、sortコマンドの影響を連想します。 sortは、sort 0 fieldnameのように無制限を意味する「0」を明記しないと1万行で切ってしまいます。ご確認ください。 sortコマンドリファレンス 検索式全体を記載いただくと、より具体的に考える事ができます。ご検討ください。 ... View more

I faced the same issue. Finally, I found it is a limitation by design. We can find the current Mobile Access (1.0.1) supports only 5.0.x, 6.0.x and 6.1.x, NOT 6.2.x. "Splunk Enterprise version support" topic on Mobile Access 1.0.1 documents. So, we need to wait newer version Mobile Access which can support 6.2.x. And I appreciate your workaround information. Thank you. ... View more

次の点を確認されてはいかがでしょうか？ コマンドプロンプトから、splunk.exe restartを実行し、その時に出力されるメッセージ splunkd.logの出力内容 var/libを元に戻したら起動するか？ etcを元に戻して、var/libだけ引き継いだ状態で起動するか？ 残念ながら、起動しない理由に心当たりはありませんので、メッセージ、ログなどから、原因を探されては、いかがでしょうか？ ご検討ください。 ... View more

設定ファイル名を再確認される事をお勧めします。 入力設定を行うconf: inputs.conf 転送設定を行うconf: outputs.conf 最小限必要となるconfは上記のはずです。 設定が正しいにも関わらず、UFからインデクサーにデータが送信できない場合、 インデクサー側のファイアウォール設定を確認してみてください。 9997/TCPの通信が許可されていなければ、Splunkはデータ受信できません。 本文に記載の以下の文章は、どのようなステップでのエラーなのでしょうか？ ＃ データの追加を試みましたが、下記エラーにて進まな無い状態です ＃ There are currently no forwarders configured as deployment clients to this instance. UFを使ったデータ収集では、デプロイ機能を使うと便利ですが、必須ではありません。 利用中のSplunkバージョン、手順などをご説明いただければ、それに即したご案内ができるかも知れません。 ご検討ください。 ... View more

outputlookup <tablename>とするには、あらかじめ、がtransforms.confで定義されている必要があります。 outputlookup <tablename>を実行すると、<tablename>に関連付けられるファイルが更新されます。 ... View more

I confirmed Splunk ODBC 2.0 fixed No.1 and No2. Thank you for Splunk developers! No.3 Even if the field names in the results of saved searches contain Japanese characers, Microsoft Query can explorer columns under the saved searches. But column's titles (= field names) are changed into no related names, like "列1", "列2". So, if we want to use Splunk ODBC in Japanese environments, we need to use English in field names. Thanks, ... View more

以下の設定で、日付と時刻が続けて表示されない場合でも、日時情報を抽出して、_timeとして利用できます。ご確認ください。 [your_sourcetype] INDEXED_EXTRACTIONS=csv KV_MODE=none SHOULD_LINEMERGE=false disabled=false pulldown_type=true FIELD_NAMES=f01,f02,f03,f04,f05,f06,f07,f08,f09,f10,f11,f12 TIME_FORMAT=%d%m%y %H%M%S TIMESTAMP_FIELDS=f10,f02 ポイントは、CSV形式で取り込むことです。 TIMESTAMP_FIELDSが利用できるようになり、離れて存在しているフィールドをタイムスタンプとして組み合わせて利用できます。 Splunk 6.2.0で期待動作となる事を確認しました。ちなみに、Splunk 6.2.0では、この設定をデータを取り込む際に、GUI上で確認しながら設定できます。 参考になれば幸いです。 ... View more